saldırganlar makine hızında hareket ediyor, siz hala kahve içiyorsunuz

arkadaşlar, bu yazıyı okuduktan sonra uyku tutmayacak. exaforce’un yaptığı araştırma gösteriyor ki saldırganlar artık makine hızında hareket ediyor ve güvenlik ekipleri hala kahvesini içerken veriler çıkıp gidiyor.

ne oluyor yani?

şöyle ki, saldırganlar bir sistemin içine girdikten sonra dakikalar içinde (evet, dakikalar) kimlik bilgilerini çalıp veri çıkarmaya başlıyorlar. ama güvenlik ekibiniz hala “hmmm, bir şey mi oldu?” diye bakmaya başlamışken, işin bitmiş olması ihtimali var. bu durum, geleneksel güvenlik cevap mekanizmalarının artık yetersiz kaldığını gösteriyor.

spoiler: bu sadece teori değil. gerçek dünyada github tokenları çalınıyor, sahte yapay zeka kurucuları dağıtılıyor ve mfa’ya rağmen phishing saldırıları başarılı oluyor.

ne tür saldırılar var?

github token hırsızlığı:

• saldırganlar github’da yanlışlıkla kaydedilmiş tokenları buluyorlar (evet, hala böyle şeyler oluyor)
• bu tokenlarla private repo’lara erişiyorlar
• sonra kod çalıp gidiyorlar
• siz bunu fark etmeden 5 dakika geçiyor

sahte yapay zeka kurucuları:

• “yapay zeka uygulaması” adı altında zararlı yazılım dağıtılıyor
• kurulum sırasında kimlik bilgileri toplanıyor
• siz “vay be, harika bir tool” derken, saldırganlar sisteminizin içinde

mfa phishing:

• “evet, mfa var ama phishing saldırısı yaparsak?” diye düşünüyorlar
• kullanıcıları fake login sayfasına yönlendiriyorlar
• mfa kodunu da alıyorlar
• ve işte, sistem düşüyor

neden bu kadar hızlı?

çünkü saldırganlar otomasyonu kullanıyor. makine hızında. siz manuel olarak log’ları incelemeye çalışırken, onlar zaten 100 sistem içine girmiş bulunuyor.

yapmanız gerekenler (acil)

1. otomasyonlu tehdit tespiti

# elasticsearch veya splunk gibi bir sistem varsa, alert'lerinizi şu şekilde ayarlayın:
# - anormal login aktivitesi (aynı anda farklı lokasyonlardan)
# - veri çıkışı tespiti (bandwidth spike'ları)
# - token oluşturma aktiviteleri
# - dosya transfer'i anomalileri

# örnek: splunk'ta kritik event'ler için alert ayarla
index=main sourcetype=access_combined status=401 OR status=403 
| stats count by src_ip, dest_ip 
| where count > 10

2. otomasyonlu cevap mekanizması

• bir anomali tespit edilince, otomatik olarak:
  • şüpheli oturumları sonlandır
  • kullanıcı parolasını sıfırla
  • token’ları iptal et
  • network segment’ini izole et

3. endpoint detection and response (edr) kurun

• makine hızında cevap verebilecek bir sistem lazım
• crowdstrike, microsoft defender for endpoint, sentinelone gibi araçlar
• bunlar anomali gördüğünde otomatik olarak harekete geçiyor

4. zero trust mimarisi

# her erişim kontrol edilsin:
# - kim? (kimlik doğrulama)
# - nereden? (lokasyon kontrolü)
# - ne için? (erişim nedeni)
# - ne kadar süre? (oturum süresi sınırlı)

5. github tokenlarını temizleyin (acil)

# eğer github kullanıyorsanız:
# 1. tüm personal access token'ları kontrol edin
# 2. eski token'ları silin
# 3. token rotation policy koyun (her 90 gün)
# 4. repo'larda secret scanning açın

# git history'den leak'ed token'ları bulun:
git log --all --oneline | grep -i "token\|password\|secret"

# veya github'ın built-in secret scanning'ini kullanın

6. mfa’yı güçlendirin

• sms tabanlı mfa kullanmayın (phishing’e açık)
• hardware security key’ler kullanın (yubikey gibi)
• authenticator uygulamalar (microsoft authenticator, google authenticator)
• push notification tabanlı approval’lar

geçici çözümler (hemen yapalım)

etkilenen kim?

• herkes. github kullanan? etkilenebilirsin. yapay zeka tool’u yükleyen? etkilenebilirsin. mfa olan bir hesabın var mı? phishing’e hedef olabilirsin.

edit: önemli notlar

• edit: cisa da bu konuyu vurgulamış, “saldırganlar makineler gibi hızlı hareket ediyor, siz insanlar gibi yavaş” demiş
• edit: ortalama bir saldırı 7-10 dakika içinde başarılı oluyor, siz bunu fark etmede 3-5 gün geçiyor
• edit: log’ları kontrol etmek artık yeterli değil, real-time detection lazım

spoiler: bu neden önemli?

çünkü artık “sonradan düzeltme” stratejisi işlemiyor. saldırganlar o kadar hızlı ki, siz “aa, bir saldırı oldu” derken, veriler zaten gitmişti. bu yüzden otomasyonlu tespit ve cevap mekanizması zorunlu hale geldi.

son söz

arkadaşlar, bu yazıyı okuduktan sonra yapacak ilk şey:

1. github tokenlarınızı kontrol edin
2. mfa’nızı güçlendirin
3. security team’inize “otomasyonlu cevap mekanizması lazım” deyin
4. test ortamında bir siem/edr sistemi kurmaya başlayın

yedek almayı unutmayın, sonra ağlamayın.

Kaynaklar:

• BleepingComputer - Machine speed attacks require machine speed detection and response
• CISA - Automated Threat Detection
• GitHub - Secret Scanning

Bu içerik yapay zeka tarafından oluşturulmuştur.